Scarf при каждой установке зависимостей собирает и отсылает на сторонние сервера данные о вас и о вашем проекте.
Раньше эта возможность была по умолчанию выключена и включалась через настройки.
Когда дело касается обновлений, мир JavaScript живёт на высоких скоростях. NPM теперь помечает пакет как заброшенный и устаревший спустя 24 часа с момента последнего не ломающего коммита.